Вопросы Теги

Как наследовать commonName альтернативному имени субъекта

На моем компьютере с установленной Windows 10 я должен использовать OpenSSL. Я скачал версию 1.0.2n и следую этому руководству: Создание SSL сертификата с несколькими именами хостов Я изменил файл конфигурации openssl.cfg (расположенный в C:\OpenSSL-Win64\bin).

После некоторого тестирования я могу без проблем генерировать как ключи, так и сертификаты.

Моя проблема заключается в следующем: мои требования к генерации сертификатов таковы, что поле Subject Alternative Name должно иметь только одно значение и должно совпадать с полем Common Name. Так, если (заполняя сертификат) я заполняю поле commonName значением example.com, то и Subject Alternative Name должно быть example.com. Я знаю, что могу каждый раз менять cfg файл и вручную устанавливать значение для SAN в разделе v3-req, но я хочу избежать этого; я ищу способ скопировать значение, которое я задаю для общего имени в поле SAN.

Итак, я попробовал следующее: в файле openss.cfg я перешел к разделу v3 req и изменил его таким образом:

[ v3_req ]

# Extensions to add to a certificate request

basicConstraints = CA:FALSE 
keyUsage = nonRepudiation, digitalSignature, keyEncipherment 
subjectAltName = @alt_names

[alt_names] 
DNS.1 = commonName:copy

то есть я попытался использовать функцию :copy, но, к сожалению, это действие не работает. Если после генерации сертификата я запускаю команду 

req -text -noout -in <filename.csr>

для проверки сертификата, то в конкретной секции я получаю следующее:

X509v3 Subject Alternative Name:
    DNS:commonName.copy

Как вы можете видеть, вывод - это правая часть моей декларации в секции [alt_names].

Итак, вопросы следующие: Есть ли способ наследовать commonName альтернативному имени субъекта? И если да, то как?

3
задан 28 February 2018 в 18:47
1 ответ

Используйте $ {section :: name} для чтения ранее определенных переменных.

Вот пример, который работает: 

[ req ]

prompt             = no
string_mask        = default

# The size of the keys in bits:
default_bits       = 2048
distinguished_name = req_dn
req_extensions     = req_ext

[ req_dn ]

# Or traditional org style:
countryName = gb
organizationName = example
commonName = acme.example.test

[ req_ext ]

subjectAltName = @alt_names

[alt_names]
DNS.1 = ${req_dn::commonName}
DNS.2 = alt.example.test

Далее: 

openssl req -nodes -new -keyout test.key -out test.csr -config ./openssl.cnf

Это приводит к: 

openssl req -noout -text -in test.csr

дает: 

 ...
    Attributes:
    Requested Extensions:
        X509v3 Subject Alternative Name:
            DNS:acme.example.test, DNS:alt.example.test
Signature Algorithm: sha256WithRSAEncryption
     92:1c:e0:0e:6d:7d:2e:b4:64:c5:ab:ff:6a:37:dd:35:98:58:
 ...
5
ответ дан 3 December 2019 в 05:39

Теги

Похожие вопросы